Gérer les stratégies de pare-feu de réseau au niveau mondial

Pour contrôler le trafic réseau dans votre environnement Google Cloud , gérez les stratégies de pare-feu de réseau mondiales et leurs règles. Cette page explique comment lister, décrire et mettre à jour les règles et leurs règles individuelles. Vous apprendrez à cloner des règles entre des règles et à gérer les associations de règles avec vos réseaux de cloud privé virtuel (VPC).

Avant de lire cette page, assurez-vous de connaître les concepts décrits dans la présentation des stratégies de pare-feu réseau au niveau mondial.

Tâches liées aux stratégies de pare-feu

Cette section explique comment gérer les stratégies de pare-feu de réseau au niveau mondial.

Décrire une stratégie de pare-feu de réseau au niveau mondial

Vous pouvez afficher des informations sur une stratégie de pare-feu de réseau au niveau mondial, y compris les règles de la stratégie et les attributs de règle associés. Tous ces attributs de règle sont comptabilisés dans le quota d'attributs de règle. Pour en savoir plus, consultez "Attributs de règle par stratégie de pare-feu réseau au niveau mondial" dans le tableau Par stratégie de pare-feu.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.firewallPolicies.get

Rôles

• Administrateur de réseaux Compute (roles/compute.networkAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu ou
• Administrateur de sécurité Compute (roles/compute.securityAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu

Console

1. Dans la console Google Cloud , accédez à la page Règles de pare-feu.

   Accéder à la page Règles de pare-feu

2. Dans le menu de sélection de projet, sélectionnez le projet qui contient la stratégie de pare-feu réseau globale.

3. Cliquez sur la stratégie.

gcloud

gcloud compute network-firewall-policies describe POLICY_NAME \
    --global

Mettre à jour la description d'une stratégie de pare-feu réseau au niveau mondial

Seul le champ Description peut être mis à jour pour la stratégie.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.firewallPolicies.update

Rôles

• Administrateur de sécurité Compute (roles/compute.securityAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu

Console

1. Dans la console Google Cloud , accédez à la page Règles de pare-feu.

   Accéder à la page Règles de pare-feu

2. Dans le menu de sélection de projet, sélectionnez le projet qui contient la stratégie de pare-feu réseau globale.

3. Cliquez sur la stratégie.

4. Cliquez sur Modifier.

5. Dans le champ Description, modifiez le texte.

6. Cliquez sur Enregistrer.

gcloud

gcloud compute network-firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --global

Regrouper les stratégies de pare-feu de réseau au niveau mondial

Vous pouvez afficher la liste des règles disponibles dans votre projet.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.firewallPolicies.list

Rôles

• Administrateur de réseaux Compute (roles/compute.networkAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu ou
• Administrateur de sécurité Compute (roles/compute.securityAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu

Console

1. Dans la console Google Cloud , accédez à la page Règles de pare-feu.

   Accéder à la page Règles de pare-feu

2. Dans le menu permettant de sélectionner le projet, sélectionnez le projet contenant la stratégie.

   La section Stratégies de pare-feu réseau affiche les stratégies disponibles dans votre projet.

gcloud

gcloud compute network-firewall-policies list --global

Supprimer l'association de réseau

Si vous devez modifier la stratégie de pare-feu réseau mondiale associée à un réseau VPC, nous vous recommandons d'abord d'associer une nouvelle stratégie au lieu de supprimer une stratégie associée existante. Vous pouvez associer une nouvelle stratégie en une seule étape, ce qui permet de s'assurer qu'une stratégie de pare-feu réseau mondiale est toujours associée au réseau VPC.

Pour supprimer une association entre une stratégie de pare-feu de réseau mondiale et un réseau VPC, suivez les étapes décrites dans cette section. Les règles de la stratégie de pare-feu réseau au niveau mondial ne s'appliquent pas aux nouvelles connexions une fois son association supprimée.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.networks.setFirewallPolicy

Rôles

• Administrateur de réseaux Compute (roles/compute.networkAdmin) sur le projet contenant le réseau

Console

1. Dans la console Google Cloud , accédez à la page Règles de pare-feu.

   Accéder à la page Règles de pare-feu

2. Dans le menu permettant de sélectionner le projet, sélectionnez votre projet ou le dossier contenant la stratégie.

3. Cliquez sur la stratégie.

4. Cliquez sur l'onglet Associations.

5. Sélectionnez l'association que vous souhaitez supprimer.

6. Cliquez sur Supprimer l'association.

gcloud

gcloud compute network-firewall-policies associations delete \
    --firewall-policy FIREWALL_POLICY \
    --name ASSOCIATION_NAME \
    --firewall-policy-region FIREWALL_POLICY_REGION \
    --global-firewall-policy

Supprimer une stratégie de pare-feu de réseau au niveau mondial

Avant de pouvoir supprimer une stratégie de pare-feu réseau au niveau mondial, vous devez supprimer toutes ses associations.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.firewallPolicies.delete

Rôles

• Administrateur de sécurité Compute (roles/compute.securityAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu

Console

1. Dans la console Google Cloud , accédez à la page Règles de pare-feu.

   Accéder à la page Règles de pare-feu

2. Dans le menu permettant de sélectionner le projet, sélectionnez le projet contenant la stratégie.

3. Cliquez sur la stratégie que vous souhaitez supprimer.

4. Cliquez sur l'onglet Associations.

5. Sélectionnez toutes les associations.

6. Cliquez sur Supprimer l'association.

7. Une fois toutes les associations supprimées, cliquez sur Supprimer.

gcloud

Exécutez la commande suivante pour supprimer la règle :

gcloud compute network-firewall-policies delete POLICY_NAME \
    --global

Tâches liées aux règles des stratégies de pare-feu

Cette section explique comment gérer les règles de stratégie de pare-feu de réseau au niveau mondial.

Copier des règles d'une stratégie à une autre

Le clonage copie les règles d'une stratégie source vers une stratégie cible, en remplaçant toutes les règles existantes dans la stratégie cible.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.firewallPolicies.cloneRules
• compute.networks.setFirewallPolicy

Rôles

• Éditeur Compute (roles/compute.editor) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu ou
• Administrateur de sécurité Compute (roles/compute.securityAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu

Console

1. Dans la console Google Cloud , accédez à la page Règles de pare-feu.

   Accéder à la page Règles de pare-feu

2. Dans le menu permettant de sélectionner le projet, sélectionnez le projet contenant la stratégie.

3. Cliquez sur la stratégie à partir de laquelle vous souhaitez copier les règles.

4. Cliquez sur Cloner en haut de l'écran.

5. Indiquez le nom d'une stratégie cible.

6. Si vous souhaitez associer la nouvelle stratégie immédiatement, cliquez sur Continuer > Associer.

7. Sur la page Associer la stratégie à des réseaux VPC, sélectionnez les réseaux, puis cliquez sur Associer.

8. Cliquez sur Continuer.

9. Cliquez sur Clone (Cloner).

gcloud

gcloud compute network-firewall-policies clone-rules TARGET_POLICY \
    --global \
    --source-firewall-policy SOURCE_POLICY

Remplacez les éléments suivants :

• TARGET_POLICY : nom de la stratégie cible.
• SOURCE_POLICY : URL de la règle source.

Décrire une règle

Vous pouvez afficher les détails d'une règle spécifique dans une stratégie de pare-feu de réseau au niveau mondial.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.firewallPolicies.get

Rôles

• Administrateur de réseaux Compute (roles/compute.networkAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu ou
• Administrateur de sécurité Compute (roles/compute.securityAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu

Console

1. Dans la console Google Cloud , accédez à la page Règles de pare-feu.

   Accéder à la page Règles de pare-feu

2. Dans le menu permettant de sélectionner le projet, sélectionnez le projet contenant la stratégie.

3. Cliquez sur la stratégie.

4. Cliquez sur la priorité de la règle.

gcloud

gcloud compute network-firewall-policies rules describe PRIORITY \
    --firewall-policy=POLICY_NAME \
    --global-firewall-policy

Remplacez les éléments suivants :

• PRIORITY : numéro de priorité qui identifie de manière unique la règle.
• POLICY_NAME : nom de la stratégie qui contient la règle.

Mettre à jour une règle de stratégie de pare-feu réseau au niveau mondial

Vous pouvez modifier une règle de stratégie de pare-feu de réseau globale pour changer ses attributs, tels que l'action en cas de correspondance, les plages d'adresses IP, ou les protocoles et ports.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.firewallPolicies.get
• compute.firewallPolicies.update

Rôles

• Administrateur de sécurité Compute (roles/compute.securityAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu

Console

1. Dans la console Google Cloud , accédez à la page Règles de pare-feu.

   Accéder à la page Règles de pare-feu

2. Dans le menu de sélection de projet, sélectionnez le projet qui contient la stratégie de pare-feu réseau globale.

3. Cliquez sur le nom de la stratégie de pare-feu de réseau mondiale contenant la règle à modifier.

4. Cliquez sur la priorité de la règle.

5. Cliquez sur Modifier.

6. Modifiez les champs de la règle de pare-feu que vous souhaitez modifier. Pour obtenir la description de chaque champ, consultez l'une des pages suivantes :

   • Créer une règle d'entrée pour les cibles de VM
   • Créer une règle de sortie pour les cibles de VM

7. Cliquez sur Enregistrer.

gcloud

gcloud compute network-firewall-policies rules update PRIORITY \
    --firewall-policy=POLICY_NAME \
    --global-firewall-policy \
    [...other flags that you want to modify...]

Remplacez les éléments suivants :

• PRIORITY : numéro de priorité qui identifie de manière unique la règle.
• POLICY_NAME : nom de la stratégie qui contient la règle.

Indiquez les indicateurs que vous souhaitez modifier. Pour obtenir une description des indicateurs, consultez l'une des ressources suivantes :

• Créer une règle d'entrée pour les cibles de VM
• Créer une règle de sortie pour les cibles de VM

Afficher les règles de pare-feu efficaces pour une interface de VM

Vous pouvez afficher toutes les règles de pare-feu (issues de toutes les stratégies de pare-feu et règles de pare-feu VPC applicables) qui s'appliquent à une interface réseau d'une VM Compute Engine.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.instances.getEffectiveFirewalls

Rôles

• Administrateur d'instances Compute (roles/compute.instanceAdmin) sur le projet contenant l'instance de VM ou
• Agent de service Instance Group Manager (roles/compute.instanceGroupManagerServiceAgent) sur le projet contenant l'instance de VM ou
• Administrateur de sécurité Compute (roles/compute.securityAdmin) sur le projet contenant l'instance de VM ou
• Lecteur Compute (roles/compute.viewer) sur le projet contenant l'instance de VM

Console

1. Dans la console Google Cloud , accédez à la page Instances de VM.

   Accéder à la page Instances de VM

2. Dans le menu permettant de sélectionner le projet, sélectionnez le projet contenant la VM.

3. Cliquez sur la VM.

4. Pour Interfaces réseau, cliquez sur le nom de l'interface.

5. Dans la section Analyse de la configuration réseau, cliquez sur l'onglet Pare-feu.

6. Pour afficher les règles de pare-feu efficaces, cliquez sur l'onglet Affichage des règles de pare-feu.

gcloud

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE] \
    [--zone ZONE]

Remplacez les éléments suivants :

• INSTANCE_NAME : VM pour laquelle vous souhaitez afficher les règles en vigueur. Si aucune interface n'est spécifiée, la commande renvoie des règles pour l'interface principale (nic0).
• INTERFACE : interface de VM pour laquelle vous souhaitez afficher les règles en vigueur. La valeur par défaut est nic0.
• ZONE : zone de la VM. Cette ligne est facultative si la zone choisie est déjà définie comme valeur par défaut.

Afficher les règles de pare-feu efficaces pour un réseau

Vous pouvez afficher toutes les règles des stratégies de pare-feu hiérarchiques, les règles de pare-feu VPC et les règles des stratégies de pare-feu de réseau au niveau mondial qui s'appliquent à toutes les régions d'un réseau VPC.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.networks.getEffectiveFirewalls
• compute.networks.getRegionEffectiveFirewalls

Rôles

• Administrateur de réseaux Compute (roles/compute.networkAdmin) sur le projet contenant le réseau ou
• Utilisateur de réseau Compute (roles/compute.networkUser) sur le projet contenant le réseau ou
• Lecteur de réseau Compute (roles/compute.networkViewer) sur le projet contenant le réseau ou
• Administrateur de sécurité Compute (roles/compute.securityAdmin) sur le projet contenant le réseau ou
• Lecteur Compute (roles/compute.viewer) sur le projet contenant le réseau

Console

1. Dans la console Google Cloud , accédez à la page Réseaux VPC.

   Accéder aux réseaux VPC

2. Cliquez sur le réseau dont vous souhaitez afficher les règles des stratégies de pare-feu.

3. Sur la page Détails du réseau VPC, cliquez sur l'onglet Pare-feu.

4. Pour afficher les règles qui s'appliquent à ce réseau, cliquez sur l'onglet Affichage des règles de pare-feu.

gcloud

gcloud compute networks get-effective-firewalls NETWORK_NAME

Remplacez NETWORK_NAME par le réseau pour lequel vous souhaitez afficher les règles effectives.

Vous pouvez également afficher les règles de pare-feu efficaces pour un réseau à partir de la page Pare-feu.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.organizations.listAssociations sur le réseau
• Facultatif : resourcemanager.folders.get et resourcemanager.organizations.get pour afficher les informations dans les colonnes Hérité de et Emplacement de, procédez comme suit :

Rôles

Pour afficher les règles de pare-feu, procédez comme suit :

• Administrateur des ressources de l'organisation Compute (roles/compute.orgSecurityResourceAdmin)
• Lecteur Compute (roles/compute.viewer)

Facultatif : Pour afficher les informations dans les colonnes Hérité de et Emplacement de :

• Navigateur (roles/browser)
• Administrateur de l'organisation (roles/resourcemanager.organizationAdmin)

Console

1. Dans la console Google Cloud , accédez à la page Règles de pare-feu.

   Accéder à la page Règles de pare-feu

2. Les stratégies de pare-feu sont répertoriées dans la section Stratégies de pare-feu héritées par ce projet.

3. Cliquez sur chaque stratégie de pare-feu pour afficher les règles qui s'appliquent à ce réseau.

Supprimer une règle d'une stratégie

Si vous supprimez une règle d'une stratégie, elle ne s'appliquera plus aux nouvelles connexions vers ou depuis la cible de la règle.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants.

Autorisations

• compute.firewallPolicies.update

Rôles

• Administrateur de sécurité Compute (roles/compute.securityAdmin) sur la stratégie de pare-feu ou le projet contenant la stratégie de pare-feu

Console

1. Dans la console Google Cloud , accédez à la page Règles de pare-feu.

   Accéder à la page Règles de pare-feu

2. Dans le menu permettant de sélectionner le projet, sélectionnez le projet contenant la stratégie.

3. Cliquez sur la stratégie.

4. Sélectionnez la règle que vous souhaitez supprimer.

5. Cliquez sur Supprimer.

gcloud

gcloud compute network-firewall-policies rules delete PRIORITY \
    --firewall-policy=POLICY_NAME \
    --global-firewall-policy

Remplacez les éléments suivants :

• PRIORITY : numéro de priorité qui identifie de manière unique la règle.
• POLICY_NAME : nom de la stratégie qui contient la règle.

Étapes suivantes

• Stratégies de pare-feu de réseau régionales
• Stratégies de pare-feu hiérarchiques
• Créer des stratégies et des règles de pare-feu de réseau mondiales